Auftragsverarbeitung_DSGVO.pdf

[Seite 1]

Auftragsverarbeitungsvertrag

nach Art. 28 Abs. 3 DS-GVO

1. Gegenstand Der AN erbringt Leistungen gemäß dem dieser Anlage zugrundeliegenden Vertrag incl. aller An- lagen. Sofern der AN dabei personenbezogene Daten für den AG im Sinne von Art. 4 Nr. 2 und Art. 28 DS-GVO verarbeitet, schliessen die Vertragsparteien die nachfolgende Vereinbarung, um die sich aus der Verarbeitung ergebenden Rechte und Pflichten gemäß den Vorgaben der euro- päischen Datenschutz-Grundverordnung (DS-GVO) und des Bundesdatenschutzgesetzes (BDSG) zu konkretisieren

Die Vereinbarung findet Anwendung auf die Verarbeitung aller personenbezogener Daten durch den AN, die Gegenstand der Leistungsvereinbarung sind, im Rahmen von deren Durchführung anfallen oder dem AN bekannt werden. Nicht in den Anwendungsbereich fallen Daten von Mitar- beitern des AN, soweit sie ausschließlich das Beschäftigungsverhältnis mit dem AN betreffen.

Die Datenverarbeitung wird ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht.

Der AG kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwie- gender Verstoß des AN gegen Datenschutzvorschriften oder die Bestimmungen dieser Anlage vorliegt, der AN eine Weisung des AG nicht ausführen kann oder will oder der AN Kontrollrechte des AG vertragswidrig verweigert. Insbesondere die Nichteinhaltung der in diesem Vertrag ver- einbarten und aus Art. 28 DS-GVO abgeleiteten Pflichten stellt einen schweren Verstoß dar.

2. Art und Zweck der Verarbeitung, Art der personenbezogenen Daten sowie Kategorien betroffener Personen Verarbeitung von personenbezogenen Daten im Rahmen der Leistungserbringung gemäß die- sem Vertrag.

Art der Verarbeitung (entsprechend der Definition von Art. 4 Nr. 2 DS-GVO):

Erheben, Erfassen, Organisation, Ordnen, Speicherung, Anpassung oder Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, Abgleich oder die Verknüpfung, Einschränkung, Löschen oder Vernichtung von personenbezogenen Daten.

Art der personenbezogenen Daten (entsprechend der Definition von Art. 4 Nr. 1 DS-GVO):

Name, Kontaktdaten, Firmenzugehörigkeit, Bilder

Kategorien betroffener Personen (entsprechend der Definition von Art. 4 Nr. 1 DS-GVO):

Landesbedienstete, Besucher, Dritte

1 Auftragsverarbeitungsvertrag, Version 2, Stand 2023

[Seite 2]

3. Rechte und Pflichten sowie Weisungsbefugnisse des AG Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DS-GVO sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DS-GVO ist allein der AG verantwortlich. Gleichwohl ist der AN verpflichtet, alle solche Anfragen, sofern sie erkennbar aus- schließlich an den AG gerichtet sind, unverzüglich an diesen weiterzuleiten.

Der AG ist berechtigt, sich wie unter Nr. 4 festgelegt vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der beim AN getroffenen technischen und organisatorischen Maßnahmen sowie der in diesem Vertrag festgelegten Verpflichtungen zu überzeugen.

4. Pflichten des AN Der AN verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Verein- barungen und nach Weisungen des AG, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflich- tet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der Auftragsverarbeiter dem Ausführungsverantwortlichen diese rechtlichen Anforderun- gen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DS-GVO).

Der AN verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine an- deren, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des AG nicht erstellt.

Der AN sichert im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen zu. Er sichert zu, dass die für den AG verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden.

Die Datenträger, die vom AG stammen bzw. für den AG genutzt werden, werden besonders ge- kennzeichnet. Eingang und Ausgang sowie die laufende Verwendung werden dokumentiert.

Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DS-GVO durch den AG, hat der AN an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten sowie bei er- forderlichen Datenschutz-Folgeabschätzungen des AG im notwendigen Umfang mitzuwirken und den AG soweit möglich angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit e und f DS-GVO). Er hat die dazu erforderlichen Angaben dem AG unverzüglich an den Ausführungsverantwortli- chen des AG weiterzuleiten.

Der AN wird den AG unverzüglich darauf aufmerksam machen, wenn eine vom AG erteilte Wei- sung seiner Meinung nach gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DS- GVO). Der AN ist berechtigt, die Durchführung der entsprechenden Weisung solange auszuset- zen, bis sie durch den Ausführungsverantwortlichen des AG nach Überprüfung bestätigt oder geändert wird.

Der AN hat personenbezogene Daten aus dem Auftragsverhältnis zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, wenn der AG dies mittels einer Weisung verlangt und be- rechtigte Interessen des AN dem nicht entgegenstehen.

Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder den Be- troffenen darf der AN nur nach vorheriger Weisung oder Zustimmung durch den AG erteilen.

2 Auftragsverarbeitungsvertrag, Version 2, Stand 2023

[Seite 3]

Der AN erklärt sich damit einverstanden, dass der AG - grundsätzlich nach Terminvereinbarung

• berechtigt ist, die Einhaltung der Vorschriften über Datenschutz und Datensicherheit sowie der vertraglichen Vereinbarungen im angemessenen und erforderlichen Umfang selbst oder durch vom AG beauftragte Dritte zu kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie durch Überprüfungen und Inspektionen vor Ort (Art. 28 Abs. 3 Satz 2 lit. h DS-GVO).

Der AN sichert zu, dass er, soweit erforderlich, bei diesen Kontrollen unterstützend mitwirkt.

Der AN bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DS-GVO bekannt sind.

Der AN sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DS- GVO). Der AN überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Be- trieb.

☐ Beim AN ist als Beauftragte(r) für den Datenschutz Herr/Frau

(Vorname, Name, Organisationseinheit, Telefon)

bestellt. Ein Wechsel des Datenschutzbeauftragten ist dem AG unverzüglich mitzuteilen.

oder

☐ Ein betrieblicher Datenschutzbeauftragter ist beim AN nicht bestellt, da die gesetzliche Not- wendigkeit für eine Bestellung nicht vorliegt.

5. Mitteilungspflichten des AN bei Störungen der Verarbeitung und bei Verletzungen des Schutzes personenbezogener Daten Der AN teilt dem AG unverzüglich Störungen, Verstöße des AN oder der bei ihm beschäftigten Personen sowie gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventu- elle Melde- und Benachrichtigungspflichten des AG nach Art. 33 und Art. 34 DSGVO. Der AN sichert zu, den AG erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DS-GVO ange- messen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DS-GVO). Meldungen nach Art. 33 oder 34 DS-GVO für den AG darf der AN nur nach vorheriger Weisung des Ausführungsverantwortlichen des AG durchführen.

6. Unterauftragsverhältnisse mit Nachunternehmern (Art. 28 Abs. 3 Satz 2 lit. d DS-GVO) Bei genehmigtem Einsatz von Nachunternehmern muss der AN dafür Sorge tragen, dass er den Nachunternehmer unter besonderer Berücksichtigung der Eignung der von diesem getroffenen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DS-GVO sorgfältig aus- wählt. Die relevanten Prüfunterlagen dazu sind dem AG auf Anfrage zur Verfügung zu stellen.

3 Auftragsverarbeitungsvertrag, Version 2, Stand 2023

[Seite 4]

Der AN hat vertraglich sicherzustellen, dass die vereinbarten Regelungen zwischen AG und AN auch gegenüber Nachunternehmern gelten. In dem Vertrag mit dem Nachunternehmer sind die Angaben so konkret festzulegen, dass die Verantwortlichkeiten des AN und des Nachunterneh- mers deutlich voneinander abgegrenzt werden. Werden mehrere Nachunternehmer eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen Nachunternehmern. Insbesondere muss der AG berechtigt sein, im Bedarfsfall angemessene Überprüfungen und Inspektionen, auch vor Ort, bei Nachunternehmern durchzuführen oder durch von ihm beauftragte Dritte durch- führen zu lassen.

Der Vertrag mit dem Nachunternehmer muss schriftlich abgefasst werden, was auch in einem elektronischen Format erfolgen kann (Art. 28 Abs. 4 und Abs. 9 DS-GVO).

Die Weiterleitung von Daten an den Nachunternehmer ist erst zulässig, wenn der Nachunterneh- mer die Verpflichtungen nach Art. 29 und Art. 32 Abs. 4 DS-GVO bezüglich seiner Beschäftigten erfüllt hat.

Der AN haftet gegenüber dem AG dafür, dass der Nachunternehmer den Datenschutzpflichten nachkommt, die ihm durch den AN im Einklang mit dem vorliegenden Vertrag auferlegt wurden.

7. Technische und organisatorische Maßnahmen nach Art. 32 DS-GVO (Art. 28 Abs. 3 Satz 2 lit. c DS-GVO) Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewähr- leistet. Dazu werden mindestens die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität der Systeme und Dienste, sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird.

8. Verpflichtungen des AN nach Beendigung des Auftrags, Art. 28 Abs. 3 Satz 2 lit. g DS-GVO Nach Abschluss der vertraglichen Arbeiten hat der AN sämtliche in seinen Besitz sowie an Nach- unternehmen gelangte Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem AG auszuhändigen bzw. daten- schutzgerecht zu löschen bzw. zu vernichten/vernichten zu lassen.

-ENDE-

4 Auftragsverarbeitungsvertrag, Version 2, Stand 2023